Gilt der EU AI Act für mein KI-System und welche Pflichten habe ich neben MDR, IVDR und GMP?
Der EU AI Act (Verordnung (EU) 2024/1689) erfasst KI in Life Sciences meist als Hochrisiko-KI: KI als Sicherheitskomponente eines Medizinprodukts oder als Produkt, das nach MDR oder IVDR einer Konformitätsbewertung durch eine Benannte Stelle unterliegt, fällt über Art. 6 Abs. 1 in die strengste Stufe. Für diese gelten Art. 8 bis 15: Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht und Robustheit. Der entscheidende Punkt ist nicht ein zweiter Aktenstapel, sondern die Integration: Wer AI-Act-Nachweise in die bestehende MDR-/IVDR-Dokumentation und das QMS einbettet, vermeidet die doppelte Dokumentenwelt, an der diese Projekte scheitern.
- MedTech
- IVD
- Pharma
- Biotech
Überblick
Welche Pflichten stellt der EU AI Act an KI in Life Sciences?
KI in Medizinprodukten, IVD und GxP · EU AI Act (EU 2024/1689) Art. 6–15, MDR (EU 2017/745), IVDR (EU 2017/746), GMP-Annex-22-Entwurf
Zuletzt aktualisiert: 2026-06-12
Der EU AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und führt für KI in Medizinprodukten, IVD und GxP-Prozessen eine zweite Compliance-Ebene neben MDR und IVDR ein. Die Pflichten richten sich nach der Risikoklasse. Die vier Punkte, an denen Life-Science-Projekte am häufigsten hängenbleiben:
- Einstufung als Hochrisiko-KI: KI als Sicherheitskomponente oder als Produkt, das nach MDR oder IVDR einer Konformitätsbewertung durch eine Benannte Stelle unterliegt, gilt über Art. 6 Abs. 1 als Hochrisiko-KI. Anhang III (Art. 6 Abs. 2) erfasst zusätzlich KI in bestimmten Anwendungsfällen unabhängig vom Produktrecht. Die Risikoklasse muss zuerst bestimmt und dokumentiert werden, bevor sich der Pflichtenumfang ableiten lässt.
- Pflichten für Hochrisiko-KI nach Art. 8 bis 15: kontinuierliches Risikomanagement (Art. 9), Daten-Governance mit Nachweis zu Repräsentativität und Bias (Art. 10), technische Dokumentation nach Art. 11 und Anhang IV, menschliche Aufsicht (Art. 14) sowie Genauigkeit, Robustheit und Cybersicherheit (Art. 15).
- Parallelität zu MDR (EU 2017/745) und IVDR (EU 2017/746): Software as Medical Device unterliegt beiden Rahmen gleichzeitig. Die AI-Act-Anforderungen müssen in die bestehende technische Dokumentation und das QMS integriert werden, statt einen zweiten Dokumentensatz zu führen.
- KI in GxP-Prozessen: Für KI in der Pharmaproduktion, Qualitätskontrolle und in Laborsystemen adressiert der EU-GMP-Annex-22-Entwurf (Konsultation 2025) eine zusätzliche Ebene über Annex 11, etwa Modellüberwachung und KI-spezifisches Change Control. Der Annex ist noch nicht final; die Anforderungen sollten frühzeitig mitgedacht werden.
Leistungen
Wie wir Sie unterstützen
EU-AI-Act-Gap-Analyse & Klassifizierung
Einstufung Ihres KI-Systems nach Art. 6 (Produktpfad nach Abs. 1 oder Anwendungsfall-Liste in Anhang III), Abgleich gegen die Hochrisiko-Anforderungen Art. 8 bis 15 und priorisierte Maßnahmenliste mit Roadmap. Deliverable: dokumentierte Risikoklasse und Gap-Report mit Bezug auf die jeweiligen Artikel.
Integration mit MDR & IVDR
Harmonisiertes Framework, das EU AI Act und MDR (EU 2017/745) bzw. IVDR (EU 2017/746) ohne doppelte Dokumentation abbildet. Deliverable: Mapping der AI-Act-Pflichten auf bestehende technische Dokumentation und QMS-Prozesse.
Mehr erfahren →Technische Dokumentation nach Anhang IV
Erstellung der KI-spezifischen technischen Dokumentation nach Art. 11 und Anhang IV: Systembeschreibung, Trainingsdaten-Dokumentation, Leistungsmetriken, Beschreibung der menschlichen Aufsicht und Robustheitsbewertung. Deliverable: Anhang-IV-konformes Dossier.
Mehr erfahren →Daten-Governance & Human Oversight
Datendokumentation nach Art. 10 inklusive Quellen, Bias-Review und Repräsentativitätsnachweis sowie Nachweis der menschlichen Aufsicht nach Art. 14 über Design und UX. Deliverable: Daten-Governance-Dossier und Human-Oversight-Beschreibung.
Post-Market-Monitoring für KI
Aufbau des AI-Act-Post-Market-Monitorings nach Art. 72, integriert mit der MDR-/IVDR-Post-Market-Surveillance: Überwachung von Modellperformanz, Concept Drift und unerwünschten Ausgaben. Deliverable: KI-Monitoring-Plan, verzahnt mit dem bestehenden PMS-System.
Mehr erfahren →KI in GxP nach Annex 22
Erweiterung des bestehenden CSV-Rahmens (Annex 11) um die Anforderungen des Annex-22-Entwurfs für KI in GxP-Prozessen: Modellüberwachung, Nachvollziehbarkeit und KI-spezifisches Change Control. Deliverable: Annex-22-orientierte Erweiterung der Validierungsdokumentation, ausgelegt auf den finalen Annex.
Wie wir zusammenarbeiten
Worauf es ankommt
Der EU AI Act (Verordnung (EU) 2024/1689) verlangt für KI in Life Sciences keinen zweiten, losgelösten Aktenstapel, sondern eine zweite Nachweisebene auf demselben Produkt. Die Reihenfolge entscheidet: Zuerst muss die Risikoklasse nach Art. 6 feststehen (bei KI als Medizinprodukt oder Sicherheitskomponente über Abs. 1, bei den Anwendungsfällen aus Anhang III über Abs. 2), denn erst sie bestimmt, ob die Pflichten nach Art. 8 bis 15 überhaupt greifen. Steht die Einstufung als Hochrisiko-KI, müssen Risikomanagement (Art. 9), Daten-Governance (Art. 10), technische Dokumentation nach Anhang IV (Art. 11), menschliche Aufsicht (Art. 14) sowie Genauigkeit und Robustheit (Art. 15) belegt werden. Wer diese Klassifizierung überspringt, baut Nachweise für einen Pflichtenumfang, der vielleicht gar nicht zutrifft, oder übersieht Pflichten, die er bereits erfüllen müsste.
Der eigentliche Engpass liegt in der Parallelität: Software as Medical Device unterliegt MDR (EU 2017/745) bzw. IVDR (EU 2017/746) und dem AI Act gleichzeitig, und KI in GxP-Prozessen zusätzlich dem EU-GMP-Annex-22-Entwurf. Wer diese Rahmen als getrennte Projekte führt, erzeugt redundante Dokumentation und widersprüchliche Versionen. Wir setzen deshalb früh am Integrationsmodell an: Die AI-Act-Pflichten werden auf die bestehende Technische Dokumentation, das QMS und das Post-Market-System abgebildet, sodass jede Anforderung einmal und konsistent belegt ist statt zweimal und voneinander abweichend.
Unser Vorgehen
Unser Vorgehen
Schritt
Ergebnis
Scoping & Klassifizierung
Bestimmte Risikoklasse nach Art. 6 (Produktpfad nach Abs. 1 oder Anhang III nach Abs. 2), dokumentiert mit Begründung; geklärt, ob Hochrisiko-, begrenztes oder minimales Risiko vorliegt.
Gap-Analyse
Soll-Ist-Abgleich gegen Art. 8 bis 15, priorisierte Maßnahmenliste mit Bezug auf MDR/IVDR und, falls relevant, Annex 22.
Framework-Design
Festgelegtes Integrationsmodell: AI-Act-Pflichten auf bestehende technische Dokumentation, QMS und PMS abgebildet, ohne doppelte Aktenführung.
Dokumentation & Nachweise
Technische Dokumentation nach Anhang IV, Daten-Governance-Dossier nach Art. 10, Human-Oversight- und Robustheitsnachweise nach Art. 14 und 15.
Konformitätsbewertung
AI-Act-Anforderungen in die Konformitätsbewertung nach MDR/IVDR eingebunden, Findings der Benannten Stelle strukturiert abgearbeitet.
Post-Market & Betrieb
Post-Market-Monitoring nach Art. 72 im Betrieb, verzahnt mit PMS und, bei GxP-KI, mit dem Annex-22-Change-Control.
Typische Stolperfallen
Woran Projekte häufig scheitern
Die Risikoklassifizierung wird nicht formal dokumentiert.
Art. 9 EU AI Act verlangt ein dokumentiertes Risikomanagementsystem; eine intern diskutierte, aber nicht festgehaltene Einstufung gilt im Audit als nicht erfüllt und zwingt zur Nacharbeit, bevor überhaupt Pflichten abgeleitet werden können.
AI Act und MDR werden als getrennte Projekte mit eigenen Dokumentensätzen geführt.
Software as Medical Device unterliegt beiden Rahmen gleichzeitig; ohne Integration der technischen Dokumentation nach Anhang IV mit der MDR-Technischen Dokumentation entsteht redundanter Pflegeaufwand und widersprüchliche Versionen.
Die Daten-Governance nach Art.
10 wird auf das Niveau üblicher ML-Entwicklung gesetzt. Der AI Act verlangt mehr: Quellennachweis, Bias-Review und belegte Repräsentativität der Trainings-, Validierungs- und Testdaten. Fehlt dieser Nachweis, ist eine zentrale Hochrisiko-Anforderung offen.
Human Oversight nach Art.
14 wird angenommen, aber nicht belegt. Die menschliche Aufsicht muss als Designprinzip implementiert und über Design- und UX-Dokumentation nachgewiesen sein; dass ein Nutzer theoretisch eingreifen kann, reicht ohne dokumentierten Mechanismus nicht aus.
KI in GxP-Prozessen wird nur gegen Annex 11 geprüft.
Der EU-GMP-Annex-22-Entwurf stellt für KI zusätzliche Anforderungen wie Modellüberwachung, Nachvollziehbarkeit und KI-spezifisches Change Control in Aussicht; wer den CSV-Rahmen heute schon darauf ausrichtet, vermeidet Nacharbeit, sobald der Annex final ist.
FAQ
Häufige Fragen
Quellen
- Verordnung (EU) 2024/1689 (EU AI Act), Primärtext, Art. 5, 6, 8–15, 72, Anhang III, Anhang IV
- Verordnung (EU) 2017/745 (MDR), Primärtext
- Verordnung (EU) 2017/746 (IVDR), Primärtext
- EU GMP Annex 22 (Entwurf, Konsultation 2025), KI in GxP-Prozessen; EU GMP Annex 11: Computergestützte Systeme
- ISO/IEC 42001:2023: KI-Managementsystem; IEC 62304: Software-Lebenszyklus für Medizinprodukte-Software
- Entourage Landing Page ai-compliance (EU AI Act Readiness Check, internes Quellmaterial)
- https://theentourage.de/expertise/ki-regulierung-life-sciences/ (bestehender Seiteninhalt, überarbeitet)
Life Science Journal
Regulatorische Updates, direkt ins Postfach.
Neue Anforderungen, Behördenentscheidungen und Praxishinweise. Einmal monatlich, jederzeit abbestellbar.
Referenzprojekte
Wie das in der Praxis aussieht
Passende Insights
Alle Insights →Berücksichtigte Verordnungen & Normen
- Verordnung (EU) 2024/1689 (EU AI Act)
- EU AI Act Art. 5 (Verbotene KI-Praktiken)
- EU AI Act Art. 6 Abs. 1 (Hochrisiko-KI als Produkt oder Sicherheitskomponente nach MDR/IVDR)
- EU AI Act Art. 6 Abs. 2 + Anhang III (Hochrisiko-KI nach Anwendungsfall-Liste)
- EU AI Act Art. 9 (Risikomanagementsystem)
- EU AI Act Art. 10 (Daten und Daten-Governance)
- EU AI Act Art. 11 + Anhang IV (Technische Dokumentation)
- EU AI Act Art. 14 (Human Oversight / Menschliche Aufsicht)
- EU AI Act Art. 15 (Genauigkeit, Robustheit, Cybersicherheit)
- EU AI Act Art. 72 (Beobachtung nach dem Inverkehrbringen)
- EU 2017/745 (MDR)
- EU 2017/746 (IVDR)
- EU GMP Annex 22, Entwurf (KI in GxP-Prozessen)
- EU GMP Annex 11 (Computergestützte Systeme)
- IEC 62304 (Software-Lebenszyklus für Medizinprodukte-Software)
- ISO/IEC 42001:2023 (KI-Managementsystem)
Angrenzende Themen
MDR Consulting →
Konformitätsbewertung nach EU 2017/745, mit der die AI-Act-Pflichten integriert werden
IVDR Readiness →
Das Pendant für KI-gestützte In-vitro-Diagnostika nach EU 2017/746
Post-Market Surveillance →
PMS nach MDR/IVDR, verzahnt mit dem AI-Act-Monitoring nach Art. 72
Risikomanagement →
Risikomanagement als Grundlage für Art. 9 EU AI Act und ISO 14971
Dazu ein konkretes Vorhaben?
Schildern Sie uns kurz Ihre Ausgangslage. Wir melden uns mit einer ersten Einschätzung, in der Regel innerhalb eines Werktags.
Lieber direkt? +49 89 4161170-0
info@theentourage.de
- Antwort i.d.R. innerhalb eines Werktags
- 4 Standorte: DE · CH · IT · US
- 100% Life Sciences